traitement des données (RGPD)

Au sens du RGPD (article 4, point 2), le traitement est une activité, pas un rôle : un ensemble d'opérations effectuées sur des données à caractère personnel. Concrètement, un employé de l'entreprise qui collecte les coordonnées d'un client au téléphone, qui les saisit dans le logiciel, qui les consulte pour préparer une offre, qui les transmet à un sous-traitant, puis qui les efface à la fin du contrat : chacune de ces actions est une opération de traitement.

Il ne faut pas le confondre avec le responsable du traitement, qui est l'entité déterminant les finalités et les moyens de cette activité. Le traitement, c'est ce qui est fait aux données ; le responsable, c'est celui qui décide pourquoi et comment. Concrètement, dans l'exemple ci-dessus : c'est l'entreprise — une personne morale — qui décide de collecter les coordonnées de ses clients pour préparer des offres. La décision est prise par un directeur ou un salarié habilité, mais le responsable du traitement reste l'entreprise, pas la personne qui la représente. L'employé qui saisit, consulte puis efface les données ne fait qu'exécuter : il agit pour le compte de son employeur. En revanche, le prestataire externe auquel l'entreprise confie les données — un hébergeur, un fournisseur de LLM — est un sous-traitant, qui traite pour le compte du responsable.

Source : Règlement (UE) 2016/679, EUR-Lex. Explications vulgarisées : article 4 (monexpertrgpd) et article 4 (gdpr-text).

Voir aussi : responsable de traitement (RGPD) · RGPD · PII